Kritische PHP-Lücke: Das kannst du jetzt tun

Worum geht es

Wenn du online einkaufst oder einen Blog liest, arbeitet auf dem Server der Seite oft eine Software namens PHP. Sie baut die Seite zusammen, die du siehst, und läuft hinter sehr vielen WordPress-Blogs, Online-Shops und Vereinsseiten. Das Entwicklerteam von PHP hat jetzt vor einem sogenannten Notfall-Update gewarnt. Zwei Sicherheitslücken wurden als kritisch eingestuft, jeweils mit 9,2 von 10 möglichen Punkten. Das Update sollte am 21. Oktober 2026 um 14:00 Uhr UTC erscheinen, das ist 16:00 Uhr deutscher Sommerzeit.

Wichtig vorweg: Das ist kein Fehler in deinem Browser und auch nicht in Windows oder auf deinem Handy. Das Problem liegt auf den Servern, auf denen Websites laufen. Du musst am Browser nichts umstellen.

Was ist PHP überhaupt

Wenn du eine Website aufrufst, wird die Seite oft erst im Moment des Aufrufs zusammengebaut. Das erledigt auf dem Server ein Programm, das in PHP geschrieben ist. Es holt zum Beispiel Produkte aus einer Datenbank, rechnet deinen Warenkorb aus und schickt dir das fertige Ergebnis. Du siehst davon nichts. Du siehst nur die Seite.

Eine Lücke in PHP selbst ist deshalb besonders unangenehm. Sie steckt nicht in einem einzelnen Shop oder Blog, sondern in der Grundlage, auf der sehr viele davon laufen.

Warum das größer ist als ein WordPress-Problem

Meistens hörst du von Lücken in einem einzelnen Programm, zum Beispiel in einem WordPress-Plugin. Dann spielt der Betreiber ein Update für dieses Plugin ein, und die Sache ist erledigt. Hier ist es anders. Die Lücke steckt eine Ebene tiefer, in PHP selbst. WordPress, Shopware, WooCommerce und viele andere Programme benutzen PHP nur als Unterbau.

Man kann es sich wie ein Haus vorstellen: WordPress ist die Wohnung, PHP ist das Fundament. Ist das Fundament beschädigt, hilft es nicht, die Wohnung zu renovieren. Nach den bisherigen Berichten lässt sich die Lücke deshalb nicht im Programm der Seite beheben, sondern nur auf dem Server, auf dem PHP läuft. Auch Seiten, die ganz ohne WordPress oder ein anderes Baukastensystem selbst programmiert wurden, wären betroffen, solange sie PHP nutzen.

Das macht die Sache so groß. Es kommt nicht darauf an, ob eine Seite gut gepflegt ist und alle Plugins aktuell sind. Entscheidend ist nur, welche PHP-Version auf dem Server läuft.

Was kann ein Angreifer damit anrichten

Die Berichte sprechen von Remote Code Execution. Das heißt: Jemand von außen könnte auf dem Server eigene Befehle ausführen, ohne sich anzumelden. Ein Einbrecher hätte damit praktisch Zugriff auf alles, was auf diesem Server liegt. Das können Kundendaten sein, Bestellungen oder gespeicherte Passwörter der Seite.

Bin ich als Besucher betroffen

Direkt nein. Eine Seite zu besuchen reicht nicht, damit auf deinem Gerät etwas passiert. Die Lücke betrifft den Server der Seite.

Indirekt kann es dich aber treffen. Wenn der Betreiber eines Shops, bei dem du Kunde bist, nicht rechtzeitig aktualisiert und der Server gehackt wird, können deine dort gespeicherten Daten in falsche Hände geraten: Name, Adresse, E-Mail, manchmal auch Zahlungsdaten. Besonders kleine Seiten sind gefährdet, weil dort oft niemand ständig auf Updates achtet.

Was du als Nutzer jetzt tun kannst

1. Schritt 1. Nutze für jeden Dienst ein eigenes Passwort. Dann ist ein gestohlenes Passwort von einem Shop wertlos für dein E-Mail-Konto oder deine Bank.
2. Schritt 2. Schalte bei E-Mail, Bank und wichtigen Konten die Zwei-Faktor-Anmeldung ein. Das ist die zusätzliche Bestätigung per App oder SMS.
3. Schritt 3. Zahle bei kleinen, unbekannten Shops lieber per Rechnung, Lastschrift oder PayPal statt mit Kreditkartendaten, die dort gespeichert bleiben.
4. Schritt 4. Achte in den nächsten Wochen auf Mails von Shops, die über einen Datenvorfall informieren. Gehen sie ein, ändere sofort das Passwort bei diesem Dienst.
5. Schritt 5. Sei bei Mails misstrauisch, die sich auf eine angebliche Bestellung beziehen, die du nicht kennst. Gestohlene Kundendaten werden oft für Phishing benutzt.

Wenn du selbst eine Website betreibst

Dann bist du direkt gefragt. Das gilt auch für einen kleinen WordPress-Blog oder eine Vereinsseite.

• Beachte die Infos deines eigenen Hosters. Viele Anbieter schreiben ihre Kunden per Mail an oder veröffentlichen auf ihrer Statusseite, wann und wie sie PHP aktualisieren. Dort steht auch, ob du selbst etwas umstellen musst.
• Schau im Verwaltungsbereich deines Hosters nach, welche PHP-Version deine Seite nutzt, und stelle sie auf eine aktuelle um. Eine neuere Version wie PHP 8.3 oder 8.4 ist die sicherste Wahl.
• Es wird berichtet, dass sehr alte Versionen (8.1 und älter) keine Korrektur mehr bekommen könnten. Das ist noch nicht offiziell bestätigt, aber ein guter Grund, jetzt umzustellen.
• Prüfe nach dem Update, ob dein Hoster die korrigierte Version eingespielt hat. Im Zweifel frag beim Support nach.
• Spiele auch WordPress, Plugins und Shop-Software auf den neuesten Stand. Das schließt diese Lücke nicht, hilft aber gegen andere Angriffe und ist ohnehin fällig.
• Schau in den Dateien deiner Seite nach unbekannten oder neu angelegten PHP-Dateien, besonders in Upload-Ordnern. Das ist ein typisches Zeichen für einen Einbruch.

Einordnung

Die technischen Einzelheiten kommen erst mit dem Update. Wie stark die Lücke am Ende ausgenutzt wird, lässt sich deshalb noch nicht sagen. Sicherheitsfirmen rechnen allerdings damit, dass Angreifer schnell nach dem Update zuschlagen, weil dann jeder erkennen kann, was korrigiert wurde. Gerade deshalb zählt für Betreiber jede Stunde. Für dich als Nutzer gilt: Ruhe bewahren, gute Passwörter nutzen und die eigenen Konten absichern.

Wir halten diesen Artikel auf dem Laufenden, sobald das PHP-Team die betroffenen Versionen offiziell nennt.